Кот Абсолютный

Поднять VPN на шлюзе, где нет винды. RDP на винду - это вектор атаки.

TP-Link - "экономичное" железо, оно рассчитано на неприятазтельных пользователей, не знающих что такое "сертификат". Соответственно, роутер просто не поддерживает аутентификацию по сертификатам. И все. Для использования сертификата нужен другой роутер.

Микротик однозначно. SNMP есть. Мониторинг есть. Файрволл - линуховый iptables, слегка расширенный, можно использовать все линуховые схемы для прохождения пакетов. Правда, без знания как пакеты идут через iptables все равно микротиковский файрволл освоить будет трудновато.

Что же до pfSense, то хрен редьки не слаще - он основан на FreeBSD и pf. Человек, не рубящий в линухе, вряд ли справится с FreeBSD :-)

Наиболее простое решение предлагает АртемЪ. Я за данное решение.
Почему все остальное - ерунда? Потому что инициация соединения будет делаться из дома. Если VPN нужен для того, чтобы с работы заходить домой, когда надо (а надо может быть постоянно, например у меня на работе постоянно висит RDP до домашнего сервака), то что произойдет, когда роутер дома рестартанет?. А произойдет невозможность перезапустить VPN, не вернувшись домой. Что произойдет, когда будет белый IP? Просто зашел на веб-морду или по ssh - и сделал что надо.